厉害木马送上了

电脑发烧友

qqddliu 发表于 2016-5-9 07:26
反复就是这两个注册表，没其他行为。

一个木马仅仅去写这个注册表是无意义的，杀进程还是太早了。肯定还有后续行为。

qqddliu

电脑发烧友 发表于 2016-5-9 09:36
一个木马仅仅去写这个注册&# ...

那就是规则没防住，你运行下看看。

buycard

您的提交内容已送出

Sun May 8 19:54:29 PDT 2016

您的提交内容已送出。您随后将收到由赛门铁克发送的一封电子邮件，邮件中包含一个跟踪号码，您可以使用此跟踪号码来查看您提交内容的状态。
名字:       
姓氏:       
电子邮件地址:       
症状:       
提交类型:        文件提交
所上传文件的大小：        327867
所上传文件的名称：        Winows.rar

恭祝商祺！

赛门铁克安全响应中心

HMP 杀DLL
EXE过HMPA，BD（ATC+IDS最高）
已上报BD

whf20

360杀毒秒了

xuxin

红伞扫描没有反应~~

天耀群星

qqddliu 发表于 2016-5-8 20:48
【1】2016-05-08 20:44:06,系统防护,自定义防护,wextract.exe触犯自定义注册表防护规则, 结束进程

操作 ...

2016/5/9 13:13:48    创建新进程    阻止
进程: c:\users\ljx\downloads\winows\sclauncher.exe
目标: c:\windows\system32\wextract.exe
命令行: wextract.exe
规则: [应用程序组]待测试组-未知程序 ??? 37 -> [应用程序]c:\users\ljx\downloads\winows\sclauncher.exe -> [子应用程序]c:\windows\system32\wextract.exe

2016/5/9 13:13:51    修改注册表值    阻止
进程: c:\users\ljx\downloads\winows\sclauncher.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\VritualRoot\USER\S-1-5-21-2943455788-2751869972-1826618510-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run
值: C:\Users\ljx\Downloads\Winows\ScLauncher.exe
规则: [应用程序组]高危-《首道滤网》-————优先阻止！！10 -> [注册表组]系统界面核心@用户环境

qqddliu

天耀群星 发表于 2016-5-9 13:16
2016/5/9 13:13:48    创建新进程    阻止
进程: c:%users\ljx\downloads\winows\sclauncher.exe
目标: ...

创建进程阻止就ok? 火绒规则还是有问题。

天耀群星

qqddliu 发表于 2016-5-9 13:30
创建进程阻止就ok? 火绒规则还是有问题。

写规则：未知程序运行系统程序，建议阻止。

qqddliu

天耀群星 发表于 2016-5-9 13:36
写规则：未知程序运行系统程序，建议阻止。

谢谢，明白了。